OX Security hat 15.465 MCP-Server aus drei öffentlichen Registern ausgewertet und kein einheitliches Autorisierungsmodell gefunden. 15,6 Prozent der untersuchten Hostnamen liegen ausserhalb der USA, 2,3 Prozent lösen nicht mehr auf, sechs verwaiste Domains waren für 4 bis 12 Dollar im Jahr frei registrierbar. WorkOS leitet daraus vier Ebenen für Unternehmen ab, die der Beitrag mit eigenen Sofortmassnahmen ergänzt.
OX Security hat 15.465 MCP-Server aus drei öffentlichen Registern untersucht. Das Ergebnis: Es gibt kein einheitliches Modell dafür, wer auf einen Server zugreifen darf. Für Firmen, die KI-Agenten an Tools anbinden, ist das eine Lücke im Betrieb.
Das Wichtigste in Kürze
- Die Register sagen nur, dass ein MCP-Server existiert. Sie sagen nicht, ob du ihm vertrauen solltest. So fasst WorkOS die Studie zusammen.
- Rund jeder sechste untersuchte Hostname liegt ausserhalb der USA. Es sind 15,6 Prozent von 5.095 Hostnamen. Das Protokoll kennt keinen Mechanismus, der den Standort der Daten vorgibt.
- Verwaiste Domains lassen sich übernehmen. 2,3 Prozent der Hostnamen lösten nicht mehr auf, sechs davon waren für 4 bis 12 Dollar im Jahr frei.
- WorkOS empfiehlt vier Ebenen. Dazu gehören überprüfbare Client-Identitäten und eine Autorisierung, die der Identity Provider des Unternehmens steuert.
Was OX Security gemessen hat
Als Grundlage dienen die offizielle MCP-Registry, der Cline Marketplace und die GitHub MCP Registry. OX wertete 15.465 Server aus und prüfte 5.095 eindeutige Hostnamen. Der Schwerpunkt lag auf Kontrollen und Governance, nicht auf der blossen Existenz der Server.
| Befund | Anteil | Was das bedeutet |
|---|---|---|
| Hostnamen ausserhalb der USA | 15,6 % (rund 800 von 5.095) | Das Protokoll legt keinen Datenstandort fest, Vorgaben zur Datenresidenz lassen sich nicht erzwingen |
| Hostnamen ohne Auflösung | 2,3 % | Die Einträge verweisen auf Server, die es nicht mehr gibt |
| Heimnetz oder Tunneldienst | 0,45 % | Der Betrieb liegt ausserhalb jeder Firmenkontrolle |
| Frei registrierbare Domains | 6 Stück | Jemand Fremdes kann sie für 4 bis 12 Dollar im Jahr übernehmen |
Zahlen aus dem WorkOS-Beitrag und dem OX-Bericht, Stand 29. September 2026.
Dabei zeigt der letzte Punkt das Risiko am deutlichsten. Ein Eintrag im Register verweist auf eine Domain, die niemand mehr betreut. Wer sie registriert, kann dort einen eigenen Server aufsetzen. Clients, die den alten Eintrag weiter nutzen, sprechen dann mit einem Dritten.
Das Kernproblem: Autorisierung
Dabei erleichtert das Protokoll es, Tools zu entdecken. Es verlangt aber keine einheitliche Anmeldung und keine einheitliche Berechtigungsprüfung. Jeder Betreiber löst das auf seine Weise, mancher gar nicht. Für Unternehmen entsteht deshalb ein Flickenteppich, den sich kaum zentral überwachen lässt.
Die vier Ebenen von WorkOS
WorkOS schlägt vier Schichten vor:
- Client ID Metadata Documents: Clients weisen ihre Identität überprüfbar nach, statt sie nur zu behaupten.
- Unternehmensverwaltete Autorisierung: Richtlinien kommen vom Identity Provider.
- Agent-Registrierung: Die Identität der Nutzer hinter einem Agenten wird verifiziert.
- Richtlinien zur Laufzeit: Jeder Aufruf wird nach seiner Absicht bewertet.
Zudem bietet WorkOS dafür eigene Produkte an. Beachte deshalb, dass der Beitrag auch Werbung für diese Lösungen ist. Die Messwerte stammen von OX Security.
Was du jetzt tun solltest
Damit du schnell startest, hier meine Empfehlung und nicht Teil der Studie:
- Erstelle ein Inventar aller MCP-Server, die Agenten und Entwickler in deiner Firma anbinden.
- Lasse nur Server aus geprüften Quellen zu und führe eine Allowlist mit Verantwortlichen.
- Lege die Autorisierung zentral beim Identity Provider fest, nicht in jedem Tool einzeln.
- Entferne Einträge, die nicht mehr auflösen.
So setzt du MCP-Server für Microsoft 365 sinnvoll ein, zeigt der Beitrag zu MCP-Servern für Microsoft 365.
Fazit
Die Register sind Verzeichnisse und keine Prüfstellen. Wer MCP-Server im Unternehmen einsetzt, braucht eine eigene Zulassungsliste und eine zentrale Autorisierung. Beides lässt sich in wenigen Tagen aufsetzen, bevor ein Agent auf einen verwaisten Eintrag trifft.
WorkOS hat den Beitrag am 29. September 2026 veröffentlicht. Ein späteres Update nennt die Quelle nicht.
Quellen: WorkOS Blog, OX Security: MCP Server Security Benchmark Report. Foto: dlohner / Pixabay. Stand: 29. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.